商業銀行信息科技風險管理指引(編輯修改稿)

　

【文章內容簡介】 鍵或敏感崗位進行雙重控制。（四）（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、（六）確保系統按預先定義的方式處理例外情況，當系統被迫終止時向用戶提（七）（八）第二十七條 商業銀行應制定相關策略和流程，管理所有生產系統的活動日志，以支持有效的審核、安全取證分析和預防欺詐。日志可以在軟件的不同層次、（一）交易日志。交易日志由應用軟件和數據庫管理系統產生，內容包括用戶登錄嘗試、數據修改、錯誤信息等。交易日志應按照國家會計準則要求予以保（二）系統日志。系統日志由操作系統、數據庫管理系統、防火墻、入侵檢測系統和路由器等生成，內容包括管理登錄嘗試、系統事件、網絡事件、錯誤信商業銀行應保證交易日志和系統日志中包含足夠的內容，以便完成有效的內部控制、解決系統故障和滿足審計需要；應采取適當措施保證所有日志同步計時，并確保其完整性。在例外情況發生后應及時復查系統日志。交易日志或系統日志的復查頻率和保存周期應由信息科技部門和有關業務部門共同決定，并報信第二十八條 商業銀行應采取加密技術，防范涉密信息在傳輸、處理、存儲過程（一）（二）管理、使用密碼設備的員工經過專業培訓和嚴格審查。（三）（四）第二十九條 商業銀行應配備切實有效的系統，確保所有終端用戶設備的安全，并定期對所有設備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數字助理（PDA第三十條 商業銀行應制定相關制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發、備份、恢復、清理和銷毀。第三十一條 商業銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規定的后果，并對違反安全規定的行為采取零容第五章第三十二條 商業銀行應有能力對信息系統進行需求分析、規劃、采購、開發、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優先排序、立項、審批和控制。項目實施部門應定期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審核，進度報告應當包括計劃的重大變更、關鍵人員或供應商的變更以及主要費用支出情況。應在信息系統投產后一定時期內，組織對系統的后評價，并根據評價結果及時對系統功能進行調整和優化。第三十三條 商業銀行應認識到信息科技項目相關的風險，包括潛在的各種操作風險、財務損失風險和因無效項目規劃或不適當的項目管理控制產生的第三十四條 商業銀行應采取適當的系統開發方法，控制信息系統的生命周期。典型的系統生命周期包括系統分析、設計、開發或外購、測試、試運行、部署、維護和退出。所采用的系統開發方法應符合信息科技項目的規模、性質和復雜第三十五條 商業銀行應制定相關控制信息系統變更的制度和流程，確保系統的（一）（二）生產系統與開發系統、測試系統的管理職能相分離。（三）除得到管理層批準執行緊急修復任務外，禁止應用程序開發和維護人員進入生產系統，且所有（四）將完成開發和測試環境的程序或系統配臵變更應用到生產系統時，應得到信息科技部門和業務部門的聯合批準，并對變更進行及時記錄和定期復查。第三十六條 商業銀行應制定并落實相關制度、標準和流程，確保信息系統開發、第三十七條 商業銀行應建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統問題，并對問題進行記錄、分類和索引；如需供應商提供支持服務或技術援助，應向相關人員提供所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起至關重要作用的任務和指令集，應有清晰的描述和第三十八條 商業銀行應制定相關制度和流程，控制系統升級過程。當設備達到預期使用壽命或性能不能滿足業務需求，基礎軟件（操作系統、數據庫管理系統、中間件）或應用軟件必須升級時，應及時進行系統升級，并將該類升級活第六章第三十九條 商業銀行在選擇數據中心的地理位臵時，應充分考慮環境威脅（如是否接近自然災害多發區、危險或有害設施、繁忙或主要公路），采取物理控制措施，監控對信息處理設備運行構成威脅的環境狀況，并防止因意外斷電或供第四十條 商業銀行應嚴格控制第三方人員（如服務供應商）進入安全區域，如確需進入應得到適當的批準，其活動也應受到監控；針對長期或臨時聘用的技術人員和承包商，尤其是從事敏感性技術相關工作的人員，應制定嚴格的審查第四十一條 商業銀行應將信息科技運行與系統開發和維護分離，確保信息科技第四十二條 商業銀行應按照有關法律法規要求保存交易記錄，采取必要的程序第四十三條 商業銀行應制定詳盡的信息科技運行操作說明。如在信息科技運行手冊中說明計算機操作人員的任務、工作日程、執行步驟，以及生產與開發環境中數據、軟件的現場及非現場備份流程和要求（即備份的頻率、范圍和保留第四十四條 商業銀行應建立事故管理及處臵機制，及時響應信息系統運行事故，逐級向相關的信息科技管理人員報告事故的發生，并進行記錄、分析和跟蹤，直到完成徹底的處臵和根本原因分析。商業銀行應建立服務臺，為用戶提供相關技術問題的在線支持，并將問題提交給相關信息科技部門進行調查和解決。第四十五條 商業銀行應建立服務水平管理相關的制度和流程，對信息科技運行第四十六條 商業銀行應建立連續監控信息系統性能的相關程序，及時、完整地報告例外情況；該程序應提供預警功能，在例外情況對系統性能造成影響前對第四十七條 商業銀行應制定容量規劃，以適應由于外部環境變化產生的業務發第四十八條 商業銀行應及時進行維護和適當的系統升級，以確保與技術相關服務的連續可用性，并完整保存記錄（包括疑似和實際的故障、預防性和補救性第四十九條 商業銀行應制定有效的變更管理流程，以確保生產環境的完整性和可靠性。包括緊急變更在內的所有變更都應記入日志，由信息科技部門和業務部門共同審核簽字，并事先進行備份,以便必要時可以恢復原來的系統版本和數據文件。緊急變更成功后,應通過正常的驗收測試和變更管理流程,采用恰當的第七章第五十條 商業銀行應根據自身業務的性質、規模和復雜程度制定適當的業務連續性規劃，以確保在出現無法預見的中斷時，系統仍能持續運行并提供服務；第五十一條 商業銀行應評估因意外事件導致其業務運行中斷的可能性及其影（一）內外部資源的故障或缺失（如人員、系統或其他資產）。（二）（三）第五十二條 商業銀行應采取系統恢復和雙機熱備處理等措施降低業務中斷的第五十三條 商業銀行應建立維持其運營連續性策略的文檔，并制定對策略的充分性和有效性進行檢查和溝通的計劃。其中包括：（一）規范的業務連續性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統和其他資產）以及獲取資源的方式。23．與內部各部門及外部相關各方（尤其是監管機構、客戶和媒體等）的溝通安（四）當商業銀行的業務或風險狀況發生變化時，對本條（一）到（三）進行第五十四條 商業銀行的業務連續性計劃和年度應急演練結果應由信息科技風險管理部門或信息科技管理委員會確認。第八章 外第五十五條 商業銀行不得將其信息科技管理責任外包，應合理謹慎監督外包職第五十六條 商業銀行實施重要外包（如數據中心和信息科技基礎設施等)應格外謹慎，在準備實施重要外包時應以書面材料正式報告銀監會或其派出機構。第五十七條 商業銀行在簽署外包協議或對外包協議進行重大變更前，應做好相（一）分析外包是否適合商業銀行的組織結構和報告路線、業務戰略、總體風（二）（三）充分審查、評估外包服務商的財務穩定性和專業經驗，對外包服務商進（四）考慮外包協議變更前后實施的平穩過渡（包括終止合同可能發生的情（五）關注可能存在的集中風險，如多家商業銀行共用同一外包服務商帶來的第五十八條 商業銀行在與外包服務商合同談判過程中，應考慮的因素包括但不（一）（二）（三）通過界定信息所有權、簽署保密協議和采取技術防護措施保護客戶信息（四）（五）外包服務商遵守商業銀行有關信息科技風險制度和流程的意愿及相關措（六）外包服務商提供的業務連續性保障水平，以及提供相關專屬資源的承諾。（七）（八）變更外包協議的流程，以及商業銀行或外包服務商選擇變更或終止外包 商業銀行在實施雙方關系管理，以及起草服務水平協議時，應考慮（一）提出定性和定量的績效指標，評估外包服務商為商業銀行及其相關客戶（二）通過服務水平報告、定期自我評估、內部或外部獨立審計進行績效考核。（三）針對績效不達標的情況調整流程，采取整改措施。第六十條 商業銀行應加強信息科技相關外包管理工作，確保商業銀行的客戶資（一）（二）（三）（四）（五）嚴格控制外包服務商再次對外轉包，采取足夠措施確保商業銀行相關信息（六）第六十一條 商業銀行應建立恰當的應急措施，應對外包服務商在服務中可能出現的重大缺失。尤其需要考慮外包服務商的重大資源損失，重大財務損失和重第六十二條 商業銀行所有信息科技外包合同應由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。商業銀行應設立流程定期審閱和修訂服第九章第六十三條 商業銀行內部審計部門應根據業務的性質、規模和復雜程度，對相關系統及其控制的適當性和有效性進行監測。內部審計部門應配備足夠的資源和具有專業能力的信息科技審計人員，獨立于本銀行的日常活動，具有適當的第六十四條（一）制定、實施和調整審計計劃，檢查和評估商業銀行信息科技系統和內控（二）（三）（四）執行信息科技專項審計。信息科技專項審計，是指對信息科技安全事故進行的調查、分析和評估，或審計部門根據風險評估結果對認為必要的特殊事第六十五條 商業銀行應根據業務性質、規模和復雜程度，信息科技應用情況，以及信息科技風險評估結果，決定信息科技內部審計范圍和頻率。但至少應每第六十六條 商業銀行在進行大規模系統開發時，應要求信息科技風險管理部門第十章第六十七條 商業銀行可以在符合法律、法規和監管要求的情況下，委托具備相第六十八條 在委托審計過程中，商業銀行應確保外部審計機構能夠對本銀行的硬件、軟件、文檔和數據進行檢查，以發現信息科技存在的風險，國家法律、第六十九條 商業銀行在實施外部審計前應與外部審計機構進行充分溝通，詳細第七十條 銀監會及其派出機構必要時可指定具備相應資質的外部審計機構對商業銀行執行信息科技審計或相關檢查。外部審計機構根據銀監會或其派出機構的委托或授權對商業銀行進行審計時，應出示委托授權書，并依照委托授權第七十一條 外部審計機構根據授權出具的審計報告，經銀監會及其派出機構審閱批準后具有與銀監會及其派出機構出具的檢查報告同等的效力，被審計的商第七十二條 商業銀行在委托外部審計機構進行外部審計時，應與其簽訂保密協議，并督促其嚴格遵守法律法規，保守本銀行的商業秘密和信息科技風險信息，第十一章 附第七十三條 未設董事會的商業銀行，應當由其經營決策機構履行本指引中董事第七十四條 第七十五條第七十六條 本指引自頒布之日起施行，《銀行業金融機構信息系統風險管理指引》（銀監發?2006?63號）同時廢止。第七十四條 第七十五條第七十六條 本指引自頒布之日起施行，《銀行業金融機構信息系統風險管理指引》（銀監發?2006?63號）同時廢止。第二篇：《商業銀行信息科技風險管理指引》銀監會發布《商業銀行信息科技風險管理指引》為進一步加強商業銀行信息科技風險管理，銀監會近日發布《商業銀行信息科技風險管理指引》（以下簡稱《管理指引》），原《銀行業金融機構信息系統風險管理指引》（銀監發［2006］63號，以下簡稱原《指引》）同時廢止。隨著銀行業信息化的發展，信息科技的作用已經從業務支持逐步走向與業務的融合，成為銀行穩健運營和發展的支柱，原《指引》定位在信息系統風險管理的基本、原則性要求，已難以滿足商業銀行信息科技風險管理的需要。為此，銀監會在原《指引》的基礎上，廣泛征求業內機構意見，制定了本《管理指引》。《管理指引》具有以下幾個特點：一是全面涵蓋商業銀行的信息科技活動，進一步明確信息科技與銀行業務的關系，對于認識和防范風險具有更加積極的作用；二是適用范圍由銀行業金融機構變為法人商業銀行，其他銀行業金融機構參照執行；三是信息科技治理作為首要內容提出，充實并細化了對商業銀行在治理層面的具體要求；四是重點闡述了信息科技風險管理和內外部審計要求，特別是要求審計貫穿信息科技活動的整個過程之中；五是參照國際國內的標準和成功實踐，對商業銀行信息科技整個生命周期內的信息安全、業務連續性管理和外包等方面提出高標準、高要求，使操作性更強；六是加強了對客戶信息保護的要求。新《指引》共十一章七十六條，分為總則，信息科技治理，信息科技風險管理，信息安全，信息系統開發、測試和維護，信息科技運行，業務連續性管理，外包，內部審計，外部審計和附則等十一個部分。新《指引》的發布，將進一步推動我國銀行業信息科技風險管理向更高水平邁進。商業銀行信息科技風險管理指引第一章 總 則第一條 為加強商業銀行信息科技風險管理，根據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》、《中華人民共和國外資銀行管理條例》，以及國家信息安全相關要求和有關法律法規，制定本指引。第二條 本指引適用于在中華人民共和國境內依法設立的法人商業銀行。政策性銀行、農村合作銀行、城市信用社、農村信用社、村鎮銀行、貸款公司、金融資產管理公司、信托公司、財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司等其他銀行業金融機構參照執行。第三條 本指引所稱信息科技是指計算機、通信、微電子和軟件工程等現代信息技術，在商業銀行業務交易處理、經營管理和內部控制等方面的應用，并包括進行信息科技治理，建立完整的管理組織架構，制訂完善的管理制度和流程。第四條 本指引所稱信息科技風險，是指信息科技在商業銀行運用過程中，由于自然因素、人為因素、技術漏洞和管理缺陷產生的操作、法律和聲譽等風險。第五條 信息科技風險管理的目標是通過建立有效的機制，實現對商業銀行信息科技風險的識別、計量、監測和控制，促進商業銀行安全、持續、穩健運行，推動業務創新，提高信息技術使用水平，增強核心競爭力和可持續發展能力。第二章 信息科技治理第六條 商業銀行法定代表人是本機構信息